Oorhandiging van toegang vir sekuriteitstoetsing: omvang, rekeninge en herroeping

’n Toetser vra vir ’n poortadres, interne DNS-besonderhede en VPN-geloofsbriewe, en die versoek word na jou aangestuur met die onderwerp “toegang benodig”. Die versoek alleen sê jou nie of dit ’n interne assessering, ’n geoutentiseerde toetsing van ’n toepassing of ’n openbare webwerf-betrokkenheid is waar iemand die omvang verkeerd verstaan het nie. Hanteer die oorhandiging as ’n reeks met ’n hek by elke stap, en stop by die eerste hek wat nie oopgaan nie. Dit verander ’n vae versoek in iets wat jy kan magtig, lewer en later herroep.

Begin met die magtiging, nie die geloofsbriewe nie

Voordat enige adres jou inkassie verlaat, stel vas wie die teikens besit en wie toegelaat word om toetsing daarop goed te keur. Verifieer die toetser deur die betrokkenheidskontak wat jou organisasie reeds gebruik, nie deur die persoon wat die e-pos aangestuur het nie. ’n Kliënteverhouding is nie toestemming om elke stelsel te toets wat vanaf ’n rekening bereikbaar is nie, en ’n aankooporder is nie ’n omvangsdokument nie.

Skryf die goedgekeurde doelwit in een sin en hou dit langs die oorhandiging. “Evalueer die kliëntportaal se verifikasie” en “evalueer die interne netwerk” lei tot heeltemal verskillende pakkette, en die verskil moet voor die voorsiening besleg word, nie nadat ’n bevinding opduik nie. Die sin gee jou ook iets om na te wys wanneer die versoek midde-in die betrokkenheid groei.

As ’n gasheerprovider of ’n ander derde party in die pad is, kom hul vereistes voor jou gerief. Om iemand anders se infrastruktuur sonder hul toestemming te toets, is ’n aparte probleem van die toetsing van die toepassing wat daarop loop.

Noem die standpunt en die teikens

Die standpunt is die vraag wat die assessering probeer beantwoord, en dit bepaal die toegangspakket meer as enige gereedskap wat die toetser beplan om te gebruik. ’n Openbare ongeoutentiseerde toets het ’n URL en ’n tydvenster nodig. ’n Geoutentiseerde toets het toegewyde rekeninge vir die spesifieke rolle in die omvang nodig, en ’n interne assessering het ’n bepaalde toegangspunt met eksplisiete teikenreekse nodig.

Waar ’n tonnel ingaan is nie dieselfde feit as watter toepassing daar agter sit nie, en dit mag beslis nie die toegangspunt ondersoek nie. Sê dit uitdruklik in die oorhandiging, want die sin “jy het my toegang tot daardie subnet gegee” kom vinnig sodra ’n bevinding betwis word. ’n Geskrewe teikenlys is die enigste ding wat dit daarna besleg.

Gee die TLS-gasheernaam saam met die URL. ’n Kaal IP-adres dwing die toetser om die naam te raai, en ’n geradende naam lewer sertifikaatfoute op wat as bevindings gerapporteer word eerder as as ’n oorhandigingsfout.

Reik toegewyde identiteite met ’n vervaldatum uit

Voorsien rekeninge wat net vir hierdie betrokkenheid bestaan; moet nie ’n personeellid se daaglikse aanmelding uitleen nie. Stel netwerkbereikbaarheid en toepassingstoestemmings op die ooreengekome take in, reël verifikasieregistrasie deur ’n ondersteunde pad, en koppel ’n vervaldatum met ’n genoemde persoon verantwoordelik vir herroeping. Lewer die geloofsbriewe deur ’n ooreengekome veilige kanaal, apart van die omvangsdokument wat rondgestuur word.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Teken aan wie wat ontvang het, en wanneer. Daardie rekord is die verskil tussen ’n beheerde oorhandiging en ’n gedeelde wagwoord wat niemand kan naspoor nie, en dit is die eerste ding waarvoor enigiemand ná ’n voorval vra. Hou dit by die omvangsdokument eerder as in ’n kletsdraad, en noteer die afleweringskanaal langs die ontvanger. ’n Reël met ’n tydstempel klop elke keer ’n herinnering.

Die vervaldatumveld is ’n terugskans, nie die plan nie. Iemand moet steeds die netwerkpad en die toepassingrol aan die einde verwyder, want ’n vervalide aanmelding op ’n netwerk wat nog bereikbaar is, is nie herroepte toegang nie.

Bewys dat die oorhandiging werk voordat die venster oopgaan

Hardloop die toetser se eerste sprong self, vanaf ’n posisie so na as moontlik aan syne. Los die naam op, kontroleer die sertifikaatidentiteit, en bevestig dat die pad die beoogde adres bereik eerder as ’n naburige een.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

As die pad nie ’n teiken kan bereik nie, pouseer en versoen die oorhandiging eerder as om die toetser ’n alternatiewe roete te laat ontdek. Geïmproviseerde bereikbaarheid is hoe ’n assessering stilweg verby sy omvang uitbrei, en dit word byna nooit daarna gedokumenteer nie.

Stuur die operasionele kontak, toegelate ure, uitgeslote handelinge en stopvoorwaardes saam met die geloofsbriewe. ’n Toetser wat om 02:00 niemand kan bereik nie, sal ’n oordeel vel wat jy nie gemagtig het nie, en daardie oordeel sal in die verslag beskryf word asof dit in die omvang was.

NIST SP 800-115 beskryf ’n tegniese assessering as beplande toetsing gevolg deur analise en mitigasie, wat die vorm is wat hierdie oorhandiging volg. Die hekke hierbo is redaksionele ontwerpkeuses vir ’n ondersteuningsingenieur, nie ’n kontrolelys wat uit daardie publikasie aangehaal word nie.

Sluit die betrokkenheid deur toegang te verwyder

Herroep in die omgekeerde volgorde van voorsiening: toepassingrolle, dan netwerktoegang, dan die identiteit self. Bevestig elke stap eerder as om aan te neem die konsole het gedoen wat die knoppie belowe het. Sluit die rekening voordat jy sy sessies doodmaak, anders authentiseer die sessie eenvoudig weer teen die ou pad. Kontroleer dan die gevestigde verbindings nog een keer voordat jy dit gesluit noem.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Handel enige teruggehoue toetsdata af, en volg dan herstelling deur die rapporteringsproses wat julle aan die begin ooreengekom het. Die verslag moet die omgewing, die toegangsvlak, die omvang en die beperkings noem, want dit teken bevindings van een assessering aan en is nie ’n permanente verklaring dat die werf veilig is nie.

Hou die herroepingsrekord by die oorhandigingsrekord. Wanneer die volgende betrokkenheid oopgaan, wil jy presies weet wat verlede keer verwyder is en wie dit goedgekeur het, eerder as om die prentjie uit geheue te herbou.